21 oktober 2026
Twee kritieke lekken in PHP: wat er bekend is
Op 20 oktober lekten details uit over twee ernstige beveiligingslekken in PHP. Dat is opvallend, want normaal maakt een softwaremaker een lek pas bekend als de oplossing klaarstaat. Deze keer was het andersom. We kregen er de afgelopen dagen al vragen over van klanten, dus we zetten op een rij wat er bekend is.
Waarom dit zoveel websites raakt
PHP is de programmeertaal waar een groot deel van het internet op draait. WordPress, WooCommerce, Magento, Joomla en veel maatwerksites gebruiken het. Een lek in PHP zelf zit dus niet in één plugin of één systeem, het zit onder al die sites tegelijk.
Wat er aan de hand is
Het PHP-securityteam bevestigde op 20 oktober dat het om twee kritieke kwetsbaarheden gaat, allebei met een score van 9,2 op een schaal van 10. Volgens beveiligingsonderzoekers kan een aanvaller via deze lekken code uitvoeren op de server waar een website op draait. Wie dat kan, kan in principe bij alles wat op die server staat, van bestellingen tot klantgegevens. Het onderzoeksbedrijf watchTowr bevestigde dat de lekken echt zijn en wist er één na te bootsen. Ook CERT-EU, het computerbeveiligingsteam van de Europese instellingen, gaf op 20 oktober een waarschuwing uit. De technische details houden de onderzoekers achter tot de update er is.
De update en welke versies hem krijgen
PHP brengt op woensdag 21 oktober om 16:00 Nederlandse tijd een update uit die beide lekken dicht. Die komt alleen voor de versies die PHP nog ondersteunt, dus 8.2 en hoger. Sites die op een oudere versie draaien krijgen geen officiële oplossing. Welke versies precies kwetsbaar zijn, maakt PHP bekend bij de release.
Hoe ernstig is het?
Een score van 9,2 is de categorie waar beveiligingsteams alles voor laten vallen. Tegelijk was er op het moment van schrijven (21 oktober) nog geen misbruik in het wild gemeld. Wat ons betreft is het vooral een kwestie van snel schakelen met de juiste partij.
Wie kan je hierbij helpen?
Wat er op jouw site moet gebeuren, hangt af van je hosting en de PHP-versie waar de site op draait. Dat weet je webbouwer of hostingpartij het best. Neem daarom contact met hen op en vraag wat deze lekken voor jouw website betekenen.
Vragen over wat dit betekent voor je tracking of campagnes? Laat het ons gerust weten.
Yorne begon zijn carrière in digitale advertising tijdens zijn studie Sport, Management en Ondernemen en versterkt sinds 2025 SDIM als Digital Advertising Consultant. Hij is gespecialiseerd in e-commerce en denkt mee over online strategieën.
